Die Aufbewahrungsvorschriften der Financial Industry Regulatory Authority (FINRA) legen strenge Anforderungen fest, die Broker-Dealer und andere Finanzunternehmen bei der Archivierung und Aufbewahrung von Büchern und Aufzeichnungen erfüllen müssen, einschließlich elektronischer Kommunikation. Auch die US-Börsenaufsicht (SEC) regelt, wie elektronische Aufzeichnungen aufzubewahren sind, und ahndet Verstöße mit Sanktionen.
Dieser Leitfaden zeigt, mit welchen Maßnahmen IT-Administrator:innen und Managed Service Provider (MSPs) die Anforderungen von FINRA Rule 4511 und SEC Rule 17a-4(f) an die sichere Speicherung und Wiederherstellung von Finanzkommunikation und -unterlagen erfüllen, im eigenen Unternehmen oder im Auftrag ihrer Kund:innen.
🎥 Hier geht es zur visuellen Übersicht: Compliance-Leitfaden: Aufbewahrungspflichten für elektronische Kommunikation nach FINRA und SEC erfüllen.
Der Unterschied zwischen SEC und FINRA
Die FINRA ist eine private Selbstregulierungsorganisation der Broker-Dealer in den USA. Sie entwickelt Regeln für Finanzunternehmen und setzt sie durch, damit diese rechtskonform und ethisch handeln. Die FINRA ist zwar keine US-Behörde, kann aber Bußgelder verhängen und Broker-Dealern Beschränkungen auferlegen, wenn diese gegen ihre Regeln oder gegen die Vorgaben des Municipal Securities Rulemaking Board (MSRB) oder der SEC verstoßen.
Die SEC ist eine unabhängige US-Bundesbehörde, die gegründet wurde, um die Märkte zu erhalten und Anleger:innen zu schützen. Dazu setzt sie verschiedene gesetzliche Vorschriften durch, unter anderem zur Finanzberichterstattung von Unternehmen.
Für wen gelten FINRA Rule 4511 und SEC Rule 17a-4?
IT-Administrator:innen und MSPs, die die IT-Systeme von SEC-registrierten Broker-Dealern und FINRA-Mitgliedsunternehmen betreuen, müssen Maßnahmen ergreifen, um die Vorgaben zur Aufbewahrung und Sicherung von Daten einzuhalten und so die Compliance sicherzustellen.
Dieser Leitfaden hilft Ihnen dabei, Tools und Prozesse für Aufbewahrungs- und Archivierungspflichten zu identifizieren. Dennoch sollten Sie die Vorschriften selbst direkt aus der offiziellen Quelle lesen und verstehen und juristische sowie technische Expert:innen hinzuziehen, um zu klären, welche Regeln für Ihr Unternehmen gelten und wie sie wirksam umgesetzt werden.
Das ist entscheidend, denn Verstöße führen, selbst wenn sie unbeabsichtigt sind, zu Maßnahmen wie Bußgeldern, Suspendierung oder dem Entzug der Zulassung. Je nach Standort oder Geschäftstätigkeit können für Ihr Unternehmen zusätzliche Vorschriften gelten, darunter auch zum Schutz von Kundendaten.
Diese Kommunikationsarten sind betroffen
Die Aufbewahrungsvorschriften von SEC und FINRA gelten für sämtliche geschäftsbezogene physische und elektronische Kommunikation. Dazu zählen E-Mails, Chat- und Collaboration-Tools (etwa Slack und Microsoft Teams), Aufzeichnungen von Audio- und Videoanrufen (einschließlich Voicemail) sowie Interaktionen in sozialen Medien, sofern sie geschäftlichen Bezug haben.
Die Rechts- und Compliance-Teams in Ihrem Unternehmen sollten den Umfang und die Überwachungskriterien für die Kommunikation festlegen, damit alle vorgeschriebenen Inhalte vorschriftsmäßig aufbewahrt werden. Sämtliche Kommunikation muss für die festgelegten Aufbewahrungsfristen in einem Format gespeichert werden, das vor Datenverlust geschützt und unveränderbar ist. Zusätzlich müssen die Daten für regelmäßige Prüfungen durch die Aufsicht unmittelbar verfügbar sein.
FINRA Rule 4511: Checkliste zur allgemeinen Aufbewahrungspflicht
Die Einhaltung von FINRA Rule 4511 bedeutet unter Umständen, dass Sie zugleich weitere Anforderungen aus dem Exchange Act und dem SEA erfüllen müssen. Wenn Ihre Compliance-Teams die Systeme zur Aufbewahrung planen und einführen, sollten sie Folgendes berücksichtigen:
- Aufzeichnungen müssen korrekt und vollständig sein
- Daten müssen in einem manipulationssicheren Format gespeichert werden, das vor Datenverlust und Veränderung geschützt ist
- Aufbewahrte Kommunikationsaufzeichnungen müssen je nach Dokumenttyp bis zu 6 Jahre lang aufbewahrt werden
- Die Aufbewahrungsfrist kann je nach Art des aufbewahrten Dokuments variieren
Bei der Aufbewahrung von Kommunikationsdaten helfen Lösungen zur E-Mail-Archivierung, die Suche, Abruf und Export unterstützen. Für manche Daten sind besondere Maßnahmen nötig, damit sie korrekt archiviert werden, etwa für Daten aus Chat-Apps wie Microsoft Teams oder Collaboration-Plattformen wie SharePoint.
SEC Rule 17a-4(f): Elektronische Speicherung von Broker-Dealer-Unterlagen
Die Vorgaben aus SEC Rule 17a-4(f) regeln unter anderem, wie lange Kommunikationsaufzeichnungen aufbewahrt werden müssen und welche technischen Standards dabei gelten. Diese Leitlinien unterstützen Sie bei der Einhaltung:
- Setzen Sie auf unveränderbaren WORM-konformen Speicher (write once, read many)
- Versehen Sie alle aufbewahrten Aufzeichnungen mit digitalen Zeitstempeln
- Halten Sie Duplikate aller Daten an geografisch getrennten Standorten vor
- Führen Sie Indizes der gespeicherten Aufzeichnungen
- Stellen Sie sicher, dass die Aufzeichnungen während der Aufbewahrungsfrist unmittelbar verfügbar sind
- Informieren Sie die zuständige Behörde, bevor Sie ein neues elektronisches Speichermedium einsetzen
Anforderungen an Aufsicht und Zugriff
Sowohl die Aufbewahrungsvorschriften der FINRA als auch die Regelungen der SEC verlangen, dass alle archivierten Aufzeichnungen auf Anfrage verfügbar sind. Nötig ist dafür eine Archivierungslösung mit einer Suche, die sich für eDiscovery eignet. Unter Umständen müssen Unternehmen außerdem eine unabhängige Stelle benennen, die die SEC bei Bedarf beim Zugriff unterstützt.
Alle archivierten Aufzeichnungen sollten hinsichtlich Zugriffen, Änderungen und Löschversuchen protokolliert werden. Regelmäßige Überprüfungen stellen sicher, dass die Vorgaben von FINRA und SEC sowie weitere geltende Richtlinien zur Datensicherung eingehalten werden. Die Audit-Trails sollten genauso lange aufbewahrt werden wie die Daten selbst.
Darüber hinaus kann es erforderlich sein, Aufzeichnungen im Rahmen schriftlicher Überwachungsverfahren (Written Supervisory Procedures, WSPs) zu beaufsichtigen.
Aufbewahrungs-Compliance nach FINRA und SEC mit Microsoft 365 und Google Workspace
Viele Finanzunternehmen nutzen Microsoft 365 und Google Workspace als Software für E-Mail, Produktivität und Zusammenarbeit. Diese vollständig verwalteten Lösungen bieten zwar Zuverlässigkeit und sofort nutzbare Funktionen ohne eigenen Infrastrukturaufwand, sie beruhen jedoch auf einem Modell der geteilten Verantwortung: Die Haftung für verlorene Daten liegt vollständig bei den Kund:innen. Als IT-Administrator:in oder MSP, der oder die Finanzdaten verarbeitet, sind daher Sie dafür verantwortlich, dass diese Daten gemäß den Aufbewahrungsvorschriften von FINRA und SEC sowie weiteren Datenvorschriften wie CCPA und HIPAA aufbewahrt werden.
Das bedeutet: Aufbewahrte Daten müssen zusätzlich gesichert werden. Beachten Sie dabei, dass nicht jedes Backup-System die Anforderungen von FINRA und SEC erfüllt. Es gibt jedoch Lösungen für Datenarchivierung und Backup, die speziell auf die Finanzdienstleistungsbranche zugeschnitten sind.
Wenn Sie Finanzdaten gemäß den Aufbewahrungsvorschriften von FINRA und SEC sichern sollen, sprechen Sie noch heute mit einer NinjaOne-Vertretung und erfahren Sie, wie unsere MSP-Plattform Ihre Compliance unterstützt.
